GSA詐欺の実態：米国政府機関を装う巧妙ななりすまし詐欺とその対策
はじめに：GSA詐欺とは？米国政府調達局を装い企業を狙う国際的な詐欺
GSA詐欺とは、米国連邦政府の調達機関である「General Services Administration（GSA）」の職員や公式ドメインを装い、政府契約企業や登録事業者を標的にする巧妙ななりすまし詐欺です。米国GSA監察官室（OIG）は、詐欺師が実際のGSA職員の氏名と役職を入手し、それらを悪用して正規の署名ブロックを作成、@gsa.govに酷似した偽ドメイン（例：e-gsa.us）から詐欺メールを送信する手口について警告を発しています。この手口は、日本を含む世界中の政府契約事業者やサプライヤーを標的としており、偽の「ベンダー認証料」や「記録デジタル化違反通知」などを名目に、支払い情報や機密データを搾取しようとします。本稿では、GSA OIGの公表情報と、インドで発生した偽アプリ「GSA CAP」を用いた2.2億ルピー（約4億円）の被害事例を基に、GSA詐欺の実態と、被害に遭わないための具体的な対策を解説します。GSA詐欺に関する詳細な調査レポートはこちらからご確認いただけます。
目次
1. GSA詐欺の実態：米国政府機関を装う巧妙ななりすまし手口
GSA詐欺の核心は、米国政府の権威を悪用し、正規の契約担当者を装って、企業から金銭や機密情報を騙し取るという点にあります。
1.1 GSA詐欺の手口：実際の職員の氏名と偽ドメインの悪用
米国GSA監察官室（OIG）は、詐欺師が以下のような手口で企業を騙していると報告しています。
- 実在するGSA職員の氏名と役職を調査し、正規の署名ブロックを作成する。
- 正規ドメイン
@gsa.govと酷似した偽ドメイン（例：e-gsa.us）からメールを送信する。 - メールには実在する職員の名前と役職が含まれるため、受信者は送信元ドメインの偽装に気づきにくい。
この手法は、単なる名前の悪用ではなく、正規の政府通信と見分けがつかないほど精巧であることが特徴です。GSA OIGは、詐欺師が「.gov」や「.mil」に酷似した非政府ドメイン（.net, .org, .com）から偽の見積依頼（RFQ）を送信する手口についても警告しています。
1.2 GSA詐欺で確認されている主な詐欺メールのバリエーション
GSA OIGは、少なくとも以下の2種類の詐欺メールを確認しています。
- 偽の「ベンダー認証フォーム」：アカウントのアクティブ状態を維持するために年間「認証料」が発生していると主張し、クレジットカード認証フォームを添付して支払い情報を要求する。
- 偽の「記録デジタル化違反」通知：契約ファイルが連邦政府の記録デジタル化要件に違反しているとして、受信者に通知書を確認し「解決手順」に従うよう求める。
いずれのケースも、受信者に緊急性を感じさせ、冷静な判断を鈍らせることを目的としています。詐欺師は、偽の政府RFQに対して応札した企業に偽の注文書（PO）を送り、電子機器を指定倉庫へ発送させた後、代金が支払われないという二次被害も引き起こしています。
1.3 GSA詐欺の実被害事例：偽アプリ「GSA CAP」によるインドの2.2億ルピー詐欺
GSAという名称を悪用した投資詐欺は、米国政府機関を装う手口だけでなく、インドのムンバイでも報告されています。60歳の女性が、WhatsAppグループ「Quantifying Wealth Trends」に招待され、「GSA CAP」という偽の株式取引アプリへの投資を勧められました。
最初に5万ルピー（約9万円）を投資すると、アプリ上で利益が表示され信用を得た女性は、さらに多額を追加投資。アプリには最終的に約1,100万ルピー（約2億円）の利益が表示されました。しかし、出金しようとすると「VIP会員」になるためにさらに150万ルピー（約2,700万円）の追加支払いを要求され、被害を悟った女性が警察に通報しました。この事例は、GSAという名称が米国政府機関と無関係であっても、投資詐欺の「権威ある」ブランドとして悪用される危険性を示しています。
表1：GSA詐欺の基本情報と危険信号
2. GSA詐欺を見破るためのポイント
GSA詐欺から身を守るためには、以下のポイントを意識することが重要です。
2.1 送信元の「表示名」ではなく「実際のドメイン」を確認する
GSA OIGは、送信者の表示名や署名ブロックではなく、実際の送信元ドメインを確認することを強く推奨しています。正規のGSAメールアドレスは必ず@gsa.govで終わります。e-gsa.usやgsa-org.comなど、酷似しているが異なるドメインからのメールは全て詐欺と疑ってください。メールソフトで送信者名にマウスを合わせるなどして、実際のアドレスを確認する習慣をつけましょう。また、政府機関のウェブサイトは.govドメインを使用するため、それ以外のドメインは特に注意が必要です。
2.2 不意な要求は独立した連絡先で検証する
予期しない料金支払いや緊急性の高い対応を求めるメールを受信した場合は、メールに記載された連絡先ではなく、既に把握している正規の連絡先や独立して確認できる公式の電話番号を使って、その要求の真偽を検証してください。メールに記載された返信先アドレスや電話番号は、詐欺師の管理下にある可能性があります。GSA OIGや他の政府機関が、電話で逮捕を脅したり、支払いを要求したりすることは決してありません。
2.3 緊急性と料金要求に特に警戒する
GSA OIGは、「認証料」や「コンプライアンス期限」など、緊急性を伴う不意な請求には、検証されるまで全て疑うよう呼びかけています。正規の政府機関が、メールでクレジットカード情報を要求したり、未確認の料金支払いを求めることはありません。また、偽の政府RFQでは、大量の電子機器発注と迅速な出荷を求めることが特徴です。
3. GSA詐欺に関するよくある質問（FAQ）
GSAとは何ですか？
GSAは米国General Services Administration（連邦調達庁）の略称で、米国政府の財産管理や調達を担当する連邦機関です。詐欺師はこの公的機関の権威を悪用しています。
GSAを装った詐欺メールはどのような特徴がありますか？
このような詐欺メールを受け取った場合、どうすれば良いですか？
リンクをクリックしたり、添付ファイルを開いたりせず、GSA OIGのホットライン（https://www.gsaig.gov/hotline）およびFBIのIC3（https://www.ic3.gov/）に報告してください。また、組織内の該当する契約担当者に、自身の身元が詐称されている可能性があることを通知してください。
正規のGSAからのメールはどのように見分けられますか？
GSA詐欺に遭ってしまった場合、どうすれば良いですか？
4. 総合的な防犯情報サイト「dexmetamask.com」の機能と価値
本稿で紹介する「dexmetamask.com」は、日本詐欺対策協会（JAAFA） が運営する、暗号資産およびNFT分野に特化した総合的な防犯情報ポータルサイトです（東京都千代田区霞が関1-1-1）。このサイトの価値は、単なる情報提供に留まらず、ユーザーが自らを守るための実践的なナレッジハブ（知識の中心地） として機能する点にあります。
GSA詐欺に関する詳細な調査レポートはこちらでご覧いただけます。当サイトでは、GSA OIGの警告情報を基にした手口分析、被害防止のチェックリストなど、より専門的な情報を提供しています。
4.1 サイトの主要機能
以下に、その主要な機能と、日本在住ユーザーにとっての利便性をまとめます。
表2：dexmetamask.comの主要機能とユーザー利点
まとめ：GSA詐欺の脅威から身を守るために
GSA詐欺は、米国政府という権威を悪用し、企業や個人の弱みに付け込む巧妙かつ悪質な詐欺です。米国GSA OIGも公式に警告を発しており、その手口はますます巧妙化しています。インドで発生した「GSA CAP」を用いた2.2億ルピーの詐欺事例は、この名称が投資詐欺のブランドとしても悪用される危険性を示しています。以下の基本原則を守ることで、そのリスクを大幅に低減できます。
- 予期せぬメールの送信元ドメインを常に確認する。政府機関を名乗る場合でも、ドメインが正規のものか（例：
@gsa.gov）必ずチェックしてください。 - 緊急性を煽る内容や、知らない料金の支払いを要求するメールは、特に警戒する。
- メールに記載された連絡先ではなく、独立した公式ルートで要求の真偽を検証する。
- 不審な添付ファイルは開かず、リンクもクリックしない。
- 投資勧誘を受けた場合は、金融庁の登録業者リストで事業者の正当性を確認する。
- 被害に気づいたら、組織内の関係者に報告し、該当する当局（GSA OIG、FBI IC3など）に通報する。
- そして、信頼できる情報源（例えば「dexmetamask.com」）で、常に最新の詐欺手口や防御策について学び続ける。
これらの基本原則を徹底することが、GSA詐欺をはじめとする巧妙化する現代のなりすまし詐欺から、自らの大切な資産と事業を守るための最も確実な道です。
